La Ville de Paris demandait à une plateforme d’hébergement touristique la communication d’informations relatives à des locations effectuées via la plateforme. Cette demande s’est heurtée à la règlementation sur la protection des données personnelles.
Dans le cadre de la règlementation relative à la location de meublés de tourisme, les communes peuvent demander aux intermédiaires de location la transmission de certaines informations, telles que l’adresse du local ou le nombre de jours au cours desquels ce meublé a été loué[1].
C’est dans ce contexte que la Ville de Paris avait adressé une demande d’information à une plateforme de location de meublés touristiques (la « Plateforme »).
Cette dernière n’avait cependant pas donné suite à cette demande faute pour la Ville de Paris d’avoir accepté la conclusion d’un accord encadrant la transmission des données personnelles. En effet, la Plateforme considérait ne pas être en mesure de communiquer les informations demandées en l’absence de mise en œuvre de mesures techniques et organisationnelles appropriées pour sécuriser la transmission.
En conséquence, la commune avait assigné la Plateforme devant le Tribunal judiciaire de Paris afin qu’elle soit condamnée au paiement d’une amende civile de 93,75 millions d’euros.
Dans un jugement du 30 novembre 2022, le Tribunal a rejeté la demande de condamnation formulée par la Ville de Paris sur le fondement des dispositions du Règlement Général sur la Protection des Données (« RGPD »).
Après avoir jugé que le RGPD était applicable aux dispositions encadrant les demandes d’informations relatives aux meublés de tourisme, le Tribunal a relevé que la commune n’était pas parvenue à apporter la preuve que les données exigées pouvaient lui être transmises de manière licite.
Les parties étaient également en désaccord sur leur qualification au titre du RGPD (responsables conjoints ou responsables indépendants de traitement). Le Tribunal a opté pour la qualification de responsables indépendants en considérant que la Plateforme était le responsable de traitement avant la transmission et la Ville de Paris après cette dernière.
La commune, en qualité de responsable de traitement indépendant, est tenue de prévoir des mesures techniques et organisationnelles appropriées
La Plateforme arguait encore du caractère indispensable de la conclusion d’un accord relatif à la transmission des données afin de satisfaire à l’exigence de mise en œuvre de mesures techniques et organisationnelles appropriées. La mise en œuvre de telles mesures est en effet nécessaire afin d’assurer la sécurité des données personnelles et de garantir la licéité du traitement[2].
En l’espèce, le Tribunal a considéré que la demande d’information était licite, car justifiée par une raison impérieuse d’intérêt général[3]. Toutefois, il a également relevé qu’aucun texte ne prévoyait la forme ou les modalités précises de la mise en œuvre des « modalités techniques de transmission des informations », permettant d’adresser en toute sécurité les données à la commune qui les demande.
Le Tribunal a alors jugé que la Ville de Paris, en tant que responsable de traitement, se devait de prévoir les modalités de cette communication.
Par conséquent, la commune, qui était libre de définir la nature des mesures de sécurité appropriées, pouvait choisir de ne pas conclure un accord de transmission des données.
Le destinataire d’une demande d’information peut refuser d’y faire droit en cas de doute sur la licéité du traitement de données
La Plateforme soutenait enfin que les modalités de transmission imposées par la Ville de Paris, à savoir le dépôt des données sur une plateforme, ne lui permettaient pas de s’assurer de la licéité du traitement. Aussi, elle considérait que faire droit à la demande d’information l’exposait à un risque de violation de ses obligations en tant que responsable de traitement.
Les juges ont alors relevé que les conditions d’utilisation de la plateforme litigieuse mentionnaient explicitement que les données recueillies seraient transférées vers les États-Unis pour les besoins du service.
Après avoir rappelé que les transferts de données personnelles vers les États-Unis sont illicites en l’absence de garanties appropriées[4], le Tribunal a considéré que les circonstances d’espèce créaient « un doute sur la légalité du transfert de ces données vers des territoires étrangers ».
Dès lors, il appartenait à la Ville de Paris, en tant que responsable de traitement, de justifier de la licéité du traitement en cause, et donc du transfert, ce qu’elle n’avait pas fait.
Le Tribunal judiciaire de Paris a donc estimé que c’était à bon droit que la Plateforme avait considéré qu’elle ne pouvait transmettre les données de manière licite et en conséquence refusé leur communication.
La Ville de Paris avait toutefois tenté de se prévaloir de sa qualité de tiers autorisé et avançait que le guide pratique élaboré par la CNIL indiquait qu’un responsable de traitement ne peut s’opposer à la transmission même s’il juge que les modalités d’échanges sont peu sures.
Le Tribunal a néanmoins retenu que cette qualité était indifférente dès lors qu’elle n’était pas de nature à écarter celle de responsable de traitement ou l’exigence de licéité.
La demande de la Ville de Paris tendant au prononcé d’une amende a donc été rejetée.
Lire le jugement du Tribunal judiciaire de Paris, du 30 novembre 2022 n° RG 21/53000
[1] Article L. 324-2-1 II, du Code du tourisme.
[2] Article 24 du RGPD.
[3] La lutte contre la pénurie de logements destinés à la location de longue durée constitue une raison impérieuse d’intérêt général (CJUE, 22 septembre 2020, aff. C-724/18).
[4] CJUE, 16 juillet 2020, “Schrems II”, aff. C-311/18.
